Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:eduroam:anleitungen:radsecproxy:deprecated [2026/09/14 11:42] – Erster Aufschlag für die Seite Jan-Frederik Rieckersde:eduroam:anleitungen:radsecproxy:deprecated [2026/10/22 09:01] (aktuell) – typo Jan-Frederik Rieckers
Zeile 5: Zeile 5:
  
 Zu allen Konfigurationen ist ein Grund angegeben, weshalb die Konfiguration ersetzt werden sollte und welche Auswirkungen die Ersetzung ggf. hat. Zu allen Konfigurationen ist ein Grund angegeben, weshalb die Konfiguration ersetzt werden sollte und welche Auswirkungen die Ersetzung ggf. hat.
 +
 +<WRAP center round todo 60%>
 +Diese Seite befindet sich noch im Aufbau.
 +Anregungen zur Gestaltung gerne an das eduroam-Team unter eduroam@dfn.de
 +</WRAP>
  
 ==== MatchCertificateAttribute und CertificateNameCheck ==== ==== MatchCertificateAttribute und CertificateNameCheck ====
Zeile 19: Zeile 24:
   CertificateNameCheck Off   CertificateNameCheck Off
   MatchCertificateAttribute CN:/^tld1\.eduroam\.de$/   MatchCertificateAttribute CN:/^tld1\.eduroam\.de$/
 +  // Oder auch
 +  MatchCertificateAttribute SubjectAltName:DNS:/^tld1\.eduroam\.de$/
   [...]   [...]
 } }
-</code> +client tld1.eduroam.de { 
- +  [...] 
-Alternativ auch: +  CertificateNameCheck off 
- +  MatchCertificateAttribute [...]
-<code> +
-server tld1.eduroam.de { +
-  Host <ip-addr> +
-  Type tls +
-  CertificateNameCheck Off +
-  MatchCertificateAttribute SubjectAltName:DNS:/^tld1\.eduroam\.de$/+
   [...]   [...]
 } }
Zeile 46: Zeile 47:
   Type tls   Type tls
   ServerName tld1.eduroam.de   ServerName tld1.eduroam.de
 +  StatusServer On
   [...]   [...]
 +}
 +client tld1.eduroam.de {
 +  Host <ip-addr>
 +  Type tls
 +  ServerName tld1.eduroam.de
 } }
 </code> </code>
  
-Alternativ:+Alternativ, falls der Hostname per DNS auf die IP-Adresse aufgelöst werden soll:
  
 <code> <code>
Zeile 56: Zeile 63:
   Type tls   Type tls
   StatusServer On   StatusServer On
 +  [...]
 } }
 client tld1.eduroam.de { client tld1.eduroam.de {
   Type tls   Type tls
 +  [...]
 } }
 </code> </code>
Zeile 75: Zeile 84:
  
 <WRAP center round tip 60%> <WRAP center round tip 60%>
-Wenn die ''Host'' Konfiguration nicht vorhanden ist, sondern der Servern schon als ''tld1.eduroam.de'' (bzw. ''tld2...''/''tld3...'') benannt ist, kann die ''ServerName'' Konfiguration auch komplett weggelassen werden, da radsecproxy hier direkt den richtigen Namen zur Überprüfung nutzt.+Wenn die ''Host'' Konfiguration nicht vorhanden ist, sondern der Server schon als ''tld1.eduroam.de'' (bzw. ''tld2...''/''tld3...'') benannt ist, kann die ''ServerName'' Konfiguration auch komplett weggelassen werden, da radsecproxy hier direkt den richtigen Namen zur Überprüfung nutzt.
 </WRAP> </WRAP>
  
Zeile 128: Zeile 137:
 </code> </code>
  
-Alternativ, falls radsecproxy < 1.10 eingesetzt wird+Alternativ, falls radsecproxy 1.9 oder früher eingesetzt wird
  
 <code> <code>
Zeile 158: Zeile 167:
 Perspektivisch sollen die Server aber wieder individuelle Zertifikate erhalten, d.h. es ist wichtig, dass der Namens-Check auf den Namen des Servers prüft. Perspektivisch sollen die Server aber wieder individuelle Zertifikate erhalten, d.h. es ist wichtig, dass der Namens-Check auf den Namen des Servers prüft.
  
-Bei radsecproxy-Versionen bis 1.9 ist die Option ''ServerName'' noch nicht vorhanden, d.h. hier muss über ''MatchCertificateAttribute'' gearbeitet werden.+Bei radsecproxy-Versionen bis 1.9 ist die Option ''ServerName'' noch nicht vorhanden, d.h. hier muss über ''MatchCertificateAttribute'' gearbeitet werden. Der Check läuft über einen Regex. Achtung: Die Punkte müssen mit dem Backslash escaped werden, der Punkt ist bei Regex sonst ein Platzhalter für ein beliebiges Zeichen.
  
  
Zeile 194: Zeile 203:
 === Hingergrund === === Hingergrund ===
  
-Im Zuge einer Umstellung hat sich die IP-Adresse von tld3 geändert.+Im Zuge einer Umstellung hat sich die IP-Adresse von tld3 geändert. Prüfen Sie auch die Firewall-Einstellungen, ob hier ggf. noch nur die alte IP-Adresse von tld3 freigeschaltet ist.
  
  
Zeile 212: Zeile 221:
   [...]   [...]
 } }
 +
 client tld1.eduroam.de { client tld1.eduroam.de {
   [...]   [...]
Zeile 218: Zeile 228:
   [...]   [...]
 } }
 +
 realm * { realm * {
   server tld1.eduroam.de   server tld1.eduroam.de
Zeile 240: Zeile 251:
   [...]   [...]
 } }
 +
 client tld1.eduroam.de { client tld1.eduroam.de {
   [...]   [...]
Zeile 249: Zeile 261:
   [...]   [...]
 } }
 +
 realm * { realm * {
   server tld1.eduroam.de   server tld1.eduroam.de
Zeile 261: Zeile 274:
 === Hingergrund === === Hingergrund ===
  
-Der dritte Föderations-Server ''tld3.eduroam.de'' wurde 2021 hinzugefügt. Ältere Konfigurationen haben den Server ggf. nicht eingetragen.+Der dritte Föderations-Server ''tld3.eduroam.de'' wurde 2021 hinzugefügt. Ältere Konfigurationen haben den Server ggf. nicht eingetragen. Die Eintragung ist notwendig, damit die bestmögliche Redundanz vorhanden ist. Da die Proxies die Requests untereinander nicht austauschen, kann es sein, dass Anfragen für die eigene Realm nicht ankommen, wenn der Client-Eintrag für tld3 fehlt und die besuchte Einrichtung die Anfragen an tld3 schickt. In dem Fall kann tld3 den Request nicht zur Heimateinrichtung weiterleiten.
  • Zuletzt geändert: vor 7 Wochen